Comment savoir si un PDF a été modifié après sa signature

Une signature électronique de PDF n’est pas une image de signature manuscrite insérée dans le document — c’est une structure cryptographique intégrée au fichier lui-même. Au moment de signer, le logiciel calcule une empreinte (un hash) du contenu du document et la chiffre avec la clé privée du signataire ; cette empreinte chiffrée, accompagnée du certificat du signataire, est insérée dans le PDF dans une zone dédiée. Le format réserve un intervalle appelé /ByteRange qui délimite précisément les octets du fichier couverts par la signature — tout ce qui se trouve dans cet intervalle est ce qui a été signé, et rien d’autre.

Vérifier l’intégrité consiste à recalculer l’empreinte du contenu actuellement présent dans cet intervalle, puis à la comparer à l’empreinte déchiffrée à partir de la signature enregistrée. Si les deux empreintes correspondent, le contenu couvert par la signature n’a pas changé depuis l’instant de la signature. Si elles diffèrent — ne serait-ce que par la modification d’un seul caractère à l’intérieur de la zone signée — la vérification échoue : c’est la preuve que le document a été altéré après signature.

Cette vérification d’intégrité est indépendante d’une autre question, souvent confondue avec elle : celle de savoir si le signataire est bien celui qu’il prétend être. Le certificat inclus dans la signature déclare une identité, mais confirmer cette identité demande de remonter la chaîne de confiance du certificat jusqu’à une autorité de certification reconnue, et de vérifier qu’il n’a pas été révoqué entre-temps (via les protocoles OCSP ou CRL). Un outil qui vérifie uniquement l’intégrité cryptographique répond à “le contenu a-t-il changé depuis la signature ?”, pas à “peut-on faire confiance à ce signataire ?” — les deux questions demandent des vérifications distinctes.

En pratique, un résultat “intégrité vérifiée” signifie que le PDF est identique à ce qu’il était au moment de la signature ; un résultat “intégrité non vérifiée” signifie qu’une modification a eu lieu après coup, qu’elle soit malveillante ou accidentelle (certains outils de visualisation ou d’impression réécrivent légèrement le fichier).